【入門編】 RDPセッション確立時におけるTCP3389の挙動と異常接続遮断 – サイバーセキュリティとプライバシー保護実践ガイド

突然の訪問者、RDPポート3389の怪しい動きを封じ込めろ！〜ステートフルファイアウォールで守る、あなたのサーバー〜

こんにちは！ネットワークセキュリティの世界へようこそ！今日は、私たちが普段何気なく使っているサーバーへの「リモートアクセス」に潜むリスクと、それをどうやって守るか、というお話をしたいと思います。特に、Windowsサーバーに接続する際によく使われる「RDP（Remote Desktop Protocol）」という仕組みと、その入り口となるポート 3389 に注目していきましょう。

「え、RDPって便利だけど、そんなに危ないの？」
「ファイアウォールって、なんか難しそう…」

そう思われた方も、安心してください！難しい専門用語は、身近な例え話を交えながら、一つずつ丁寧に紐解いていきます。まるで、初めての道順を地図を見ながら歩くように、一緒に理解を深めていきましょうね。

サーバーへの「ドア」と「鍵」：RDPとポート3389の役割

まず、RDPって何？ってところから始めましょう。

RDPは、一言でいうと「遠隔地から自分のパソコンやサーバーを操作できるようにする仕組み」です。まるで、自分の部屋にいるのに、遠く離れた友達の家にあるパソコンを操作できるようなイメージですね。これは、システム管理者がサーバーの設定を変更したり、トラブルを解決したりするのに、とっても便利なんです。

そして、このRDPという「便利な仕組み」が、サーバーとの通信をするために使っている「ドア」のようなものが「ポート」です。ポートには番号がついていて、RDPの場合は通常、3389 という番号が使われます。

例えるなら、

サーバー：あなたのお家
RDP：友達の家にあるパソコンを操作する「リモート操作サービス」
ポート 3389：お家の「玄関ドア」

という感じでしょうか。

でも、この「玄関ドア」は、世界中どこからでも「開けられますよ〜！」という状態にしておくと、困ったことが起こりうるんです。

突然の訪問者たち：ポートスキャニングと不正アクセスの脅威

インターネットは、文字通り「世界中」と繋がっています。ということは、善意の人だけでなく、悪意を持った人も、この「玄関ドア」をノックしてくる可能性があるんです。

特に、悪意のある攻撃者たちは、どんなお家（サーバー）にどんな「ドア」（開いているポート）があるのかを調べる「下見」をします。これを「ポートスキャン」と呼びます。

例えるなら、

ポートスキャン：怪しい人が、近所の家々を回って「この家はドアが開いてるかな？」「この家は窓が開いてるかな？」と、こっそり調べている状態

です。

そして、もし攻撃者が「お、この家（サーバー）は、RDPのドア（ポート 3389）が開いてるぞ！」と見つけたら、次は「ドアを開けて（セッションを確立して）中に入ろう！」と試みます。これが、不正アクセスの試みにつながるわけです。

特にRDPは、サーバーを操作できる強力な機能なので、もし攻撃者に悪用されてしまうと、サーバー内のデータを盗まれたり、改ざんされたり、さらにはランサムウェア（身代金要求型ウイルス）に感染させられてしまったり、といった深刻な被害につながる可能性があるんです。

賢い「番犬」の登場：ステートフルインスペクションファイアウォール

そこで登場するのが、私たちの「番犬」であり「優秀な警備員」でもある、ステートフルインスペクションファイアウォールです！

「ステートフルインスペクション」って、なんか難しそうですよね。でも、これも例え話で理解しましょう。

ステートフルインスペクションとは？

普通の「ステートレス」なファイアウォール（昔ながらのシンプルなもの）は、

「このドア（ポート）は、開けていいよ（許可する）」
「このドア（ポート）は、閉めておいてね（拒否する）」

という、個別のドアの開閉ルールだけを覚えています。まるで、表札だけ見て「この家は〇〇さんだから、通っていい」と判断するようなものです。

一方、「ステートフル」なファイアウォールは、もっと賢いんです！

「今、どのお客さんが、どのドアから入って、どのドアから出ていこうとしているか」という、通信の流れ（状態）をずっと覚えているんです。

例えるなら、

ステートレスファイアウォール：玄関で「この人（IPアドレス）は、この部屋（ポート）に入っていいですか？」と、毎回聞いている。
ステートフルファイアウォール：一度「〇〇さん（IPアドレス）が、玄関（ポート）から入って、リビング（別のポート）で用事を済ませて、また玄関から出ていく」という流れを覚えている。だから、一度許可したお客さんが、おかしな動きをしないか、ずっと見張っていられる。

つまり、ステートフルファイアウォールは、単に「このポートは開いているか、閉じているか」だけでなく、「正当な理由があって、この通信が行われているか」まで判断してくれる、とっても優秀な警備員なんです。

RDPポート3389を守るための具体的な設計

では、この優秀な警備員（ステートフルファイアウォール）を使って、RDPポート 3389 をどうやって守るか、具体的な設計を見ていきましょう。

基本方針：必要最小限のアクセスのみを許可する

まず、一番大切なのは「必要最小限のアクセスのみを許可する」という原則です。

サーバーにアクセスする必要があるのは、基本的には社内ネットワークや、特定の信頼できる場所（例えば、外出先から安全にアクセスするためのVPNなど）からです。世界中どこからでも、誰でもRDPでサーバーにアクセスできる状態は、非常に危険です。

設計例：

1. デフォルト拒否（Deny All）

まずは、全ての通信を「拒否」するのが基本です。何も許可しない状態からスタートします。
例えるなら、お家の玄関ドアは「常に鍵がかかっている」状態です。

2. 許可する通信を、具体的に指定する

社内ネットワークからのRDPアクセスは許可する
社内の特定のIPアドレス範囲から、サーバーのRDPポート (3389) への通信は許可します。
例えるなら、「家族（社内ネットワークのIPアドレス）が、玄関ドア（ポート3389）から出入りするのはOK」というルールです。
外部からのRDPアクセスは原則拒否する
インターネット（外部IPアドレス）からのRDPポート (3389) への通信は、原則として全て拒否します。
例えるなら、「知らない人（外部IPアドレス）が、玄関ドア（ポート3389）をノックしても、開けない」というルールです。
特定の外部IPアドレスからのRDPアクセスのみ許可する（例外的な場合）
もし、外出先からどうしてもRDPでアクセスする必要がある場合は、その特定の固定IPアドレス（例えば、あなたの自宅のインターネット回線のIPアドレスなど）からのみ、RDPポート (3389) へのアクセスを許可するように設定します。
例えるなら、「特定の信頼できる友達（特定の外部IPアドレス）が、事前に連絡してきて、玄関ドア（ポート3389）をノックしたら開けてあげる」というルールです。
注意点: 外出先のIPアドレスは変わることが多いので、この方法はあまり推奨されません。VPNを使う方が安全で確実です。

3. ステートフルインスペクションの活用

ファイアウォールが「ステートフル」であることで、一度許可した通信が、その後に異常な動き（例えば、大量の接続試行や、通常とは異なるパケットのやり取りなど）をしていないかを監視してくれます。
もし、許可したはずの通信でも、怪しい動きがあれば、その通信を遮断してくれるんです。まるで、一度入れたはずのお客さんが、家の中でおかしな行動を始めたら、警備員が「ちょっと待ってください！」と止めてくれるようなイメージですね。

ファイアウォール設定のイメージ（例：iptables）

実際のファイアウォール設定は、お使いの機器やソフトウェアによって異なりますが、Linuxでよく使われるiptablesというコマンドを例に、イメージを掴んでみましょう。

ここでは、

社内ネットワークのIPアドレス範囲：192.168.1.0/24
サーバーのIPアドレス：192.168.1.100
RDPポート：3389
外部からの特定のIPアドレス：203.0.113.10

という前提で、基本的なルールを記述してみます。

# ------------------------------------------------------------------------------
# RDP (TCP/3389) へのアクセス制御設定例 (iptables)
# ------------------------------------------------------------------------------

# ==============================================================================
# 1. 基本的な設定: 全ての入ってくる通信をデフォルトで拒否する
# ==============================================================================
# INPUTチェインのデフォルトポリシーをDROP（拒否）に設定します。
# これにより、明示的に許可されていない通信は全て破棄されます。
sudo iptables -P INPUT DROP

# ==============================================================================
# 2. 内部からの通信の許可 (ステートフルな設定)
# ==============================================================================
# 既に確立されている、または関連する通信は全て許可します。
# これがステートフルインスペクションの核となる部分です。
# サーバーから外へ出した通信に対する返信などを自動的に許可します。
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# ------------------------------------------------------------------------------
# 社内ネットワーク (192.168.1.0/24) からのRDP (TCP/3389) アクセスを許可する
# ------------------------------------------------------------------------------
# INPUTチェインにルールを追加します。
# -s オプションで送信元IPアドレスを指定します。
# -p オプションでプロトコルを指定します (tcp)。
# --dport オプションで宛先ポートを指定します (3389)。
# -j ACCEPT で、この条件に一致した通信を許可します。
sudo iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3389 -j ACCEPT

# ==============================================================================
# 3. 外部からの通信の許可 (例外的な設定)
# ==============================================================================
# ------------------------------------------------------------------------------
# 特定の外部IPアドレス (203.0.113.10) からのRDP (TCP/3389) アクセスを許可する
# (注意: IPアドレスが変わる可能性があるため、この方法は限定的な利用に留めるべきです)
# ------------------------------------------------------------------------------
# 上記の社内ネットワークのルールと、同様の形式で追加します。
# 特定のIPアドレスを指定して、RDPポートへのアクセスを許可します。
sudo iptables -A INPUT -s 203.0.113.10 -p tcp --dport 3389 -j ACCEPT

# ==============================================================================
# 4. その他の必要な通信の許可 (例: SSH, HTTP, HTTPSなど)
# ==============================================================================
# サーバーの運用に必要な他のポート（SSH:22, HTTP:80, HTTPS:443など）も、
# 同様に必要最小限のIPアドレスからのみ許可するルールを追加します。
# 例: SSH (TCP/22) を社内ネットワークから許可
sudo iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
# 例: HTTP (TCP/80) をどこからでも許可 (Webサーバーの場合)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 例: HTTPS (TCP/443) をどこからでも許可 (Webサーバーの場合)
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# ==============================================================================
# 5. 設定の保存 (システム再起動後も有効にするために重要)
# ==============================================================================
# iptables の設定は、システムを再起動すると失われてしまうことがあります。
# 使用しているOSやディストリビューションに応じて、設定を保存するコマンドを実行してください。
# 例: Debian/Ubuntu系の場合
# sudo apt-get update
# sudo apt-get install iptables-persistent
# sudo netfilter-persistent save

# 例: CentOS/RHEL系の場合 (iptables-servicesパッケージが必要)
# sudo service iptables save
# sudo systemctl enable iptables

【コード例の解説】

sudo iptables -P INPUT DROP: まず、「何も許可しない」という基本ルールを設定します。
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT: これはステートフルファイアウォールの「お守り」です。一度許可された通信が、その続きとして送られてくるパケット（例えば、サーバーからの返信など）を、自動的に「大丈夫だね」と判断して通してくれます。
sudo iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3389 -j ACCEPT: 「社内ネットワーク（192.168.1.0/24）から、TCPプロトコルの3389番ポート宛ての通信は、許可するよ」というルールです。
sudo iptables -A INPUT -s 203.0.113.10 -p tcp --dport 3389 -j ACCEPT: 「特定の外部IPアドレス（203.0.113.10）から、TCPプロトコルの3389番ポート宛ての通信も、許可するよ」というルールです。これは、必要な場合のみ設定しましょう。
設定の保存: この設定は、サーバーを再起動すると消えてしまうことがあるので、忘れずに保存しましょう。OSによって保存方法が異なります。

【重要】
このiptablesの設定例は、あくまで基本的な考え方を示すものです。実際の環境では、サーバーの役割やネットワーク構成に応じて、さらに詳細な設定が必要になります。また、ufw (Uncomplicated Firewall) のような、より簡単なファイアウォール管理ツールもありますので、そちらの利用も検討してみてください。

まとめ：賢く守って、安全にリモートアクセス！

今日は、RDPポート 3389 の挙動と、ステートフルファイアウォールを使ったネットワークレベルの防御策についてお話ししました。

RDPは便利な反面、不正アクセスの標的になりやすい。
ポートスキャンは、攻撃者がサーバーの「ドア」を探す下見のようなもの。
ステートフルファイアウォールは、通信の流れを理解し、不正な動きを監視する賢い警備員。
基本は「デフォルト拒否」で、必要最小限の通信だけを、信頼できる場所から許可する。

これらの知識を活かして、皆さんのサーバーを、突然の訪問者からしっかりと守り、安全で快適なリモートアクセス環境を築いていきましょう！

もし、「この設定、うちの環境だとどうなるの？」「もっと詳しく知りたい！」という疑問があれば、ぜひコメントで教えてくださいね。一緒に、ネットワークセキュリティの理解を深めていきましょう！